服務器數據恢復環境：

一臺某品牌PowerEdge系列服務器和一臺PowerVault系列存儲，上層是ESXI虛擬機文件，虛擬機中運行SQL Server數據庫。

服務器故障：

機房非正常斷電導致虛擬機無法啟動。管理員檢查虛擬機發現虛擬機配置文件丟失，所幸的是xxx-flat.vmdk磁盤文件和xxx-000001-delta.vmdk快照文件沒有丟失。管理員嘗試恢復虛擬機，將原虛擬機的xxx-flat.vmdk刪除后新建了一個虛擬機，分配了幾百GB的精簡模式和幾百GBGB的快照數據盤，但是并沒有將原虛擬機內的數據恢復出來。

服務器數據恢復過程：

1、將掛載在VMware vSphere Client上的卷卸載后做鏡像備份，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始數據造成二次破壞。

2、經過對鏡像文件進行檢測&分析后發現：a、斷電導致虛擬機目錄項已經損壞;b、刪除文件操作導致文件的數據區索引被清除;c、重建虛擬機操作導致分配給新建虛擬機的磁盤空間的數據底層被清零。前兩種情況可以通過人工修復來恢復數據，但如果第三種情況是新建虛擬機的磁盤空間占用了原虛擬機的釋放空間，這部分空間的數據則無法恢復，需要進一步檢測才能確定是否出現這種情況。

虛擬機目錄項:

北亞企安數據恢復——VMware虛擬機數據恢復

3、數據恢復工程師分析底層數據，在自由空間內排查被刪除的虛擬機磁盤區域，掃描這部分區域發現了大量的碎片并拼接&重組這些碎片，但是經過拼接&重組后發現有部分碎片文件缺失，只能暫時將缺失的文件碎片位置留空。

4、利用虛擬磁盤快照程序將重組好的父盤和快照盤合并，生成一個新的虛擬磁盤。

5、解釋虛擬磁盤中的文件系統，因為數據缺失，文件系統解釋過程中出現很多報錯，提示某些文件損壞。

文件系統解釋結果:

北亞企安數據恢復——VMware虛擬機數據恢復

6、在解析完文件系統后發現沒有找到原始的數據庫文件。宏橋備份和索菲備份這兩個目錄的目錄結構正常，但是在嘗試將備份導入到數據庫中時提示報錯。

宏橋備份和索菲備份的部分目錄結構：

北亞企安數據恢復——VMware虛擬機數據恢復

導入.BAK文件報錯信息:

北亞企安數據恢復——VMware虛擬機數據恢復

7、根據SQL Server數據庫的結構去自由空間中找到數據庫的開始位置。SQL Server數據庫的庫名通常在庫的第九頁內，根據這一特性在底層掃描數據庫頁碎片，然后利用掃描出來的碎片重組mdf文件，在本案例中除了cl_system3.dbf和erp42_jck.dbf因有部分碎片

沒有找到外(極有可能被覆蓋了)，其余數據庫均校驗成功。

校驗完的MDF文件：

北亞企安數據恢復——VMware虛擬機數據恢復

cl_system3.dbf文件中某個碎片丟失的區域：

北亞企安數據恢復——VMware虛擬機數據恢復

8、詳細檢查備份文件依然沒有找到這兩個丟失的文件，只有部分增量備份文件。由于erp42_jck.dbf文件中只缺失少量的頁，根據缺失的頁號在增量備份中查找，再將找到的頁補到erp42_jck.dbf文件中，通過這個辦法可以恢復一部分丟失的數據庫頁。但是補完后發現還是缺失部分頁，無法正常使用。

9、通過北亞企安自主開發的數據庫解析程序將erp42_jck.dbf文件中重要的幾十張表導出，并導入到新建的數據庫中，恢復出缺失的文件。

10、重新搭建原始環境，將恢復出來的數據導入到新搭建的環境中，由用戶親自驗證數據庫的完整性，驗證后確認所有數據完整、數據庫掛載成功、上層應用運行正常，本次數據恢復工作完成。

審核編輯：湯梓紅